metodologia para determinar las amenazas a los activos
TRANSCRIPT
1
2
METODOLOGÍA PARA DETERMINAR LAS AMENAZAS
A LOS ACTIVOS LAYME VELÁSQUEZ, Rubén Darío
PEÑA MANRIQUE, José Luís
3
CONTENIDO
INTRODUCCIÓN
METODOLOGÍA PARA DETERMINAR LAS AMENAZAS A LOS ACTIVOS
CONCLUSIONES
RECOMENDACIONES
4
INTRODUCCIÓN
La meta principal de la administración del riesgo informático debería ser “proteger a la organización y su habilidad de manejar su misión” no solamente la protección de los elementos informáticos.
Es importante recordar que el riesgo es el impacto negativo en el ejercicio de la vulnerabilidad, considerando la probabilidad y la importancia de ocurrencia.
Entonces, el análisis de riesgo informático se vuelve un elemento importante que forma parte del programa de gestión de continuidad de negocio.
5
PROCESO DE EVALUACIÓN DEL RIESGO
REQUERIMIENTOS DE SEGURIDAD
CONTROLES
AMENAZAS VULNERABILIDADES
ACTIVOS
VALOR DE LOS ACTIVOS
Aumentan Aumentan
Aumenta
Impactan si sematerializan
MarcanImponen
Disminuyen
Protegen de
Aprovechan
Tienen
Exponen
6
METODOLOGÍAS DE ANÁLISIS DE RIESGOS
MAGERIT
• Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información
OCTAVE
• Metodología de Análisis y Gestión de Riesgos. (Operationally Critical Threat, Asset, and Vulnerability Evaluation)
7
METODOLOGÍAS DE ANÁLISIS DE RIESGOS
MAGERIT
• Valor y dependencias entre activos.
• Relación de las amenazas a que están expuestos los activos.
• Ausencia o debilidad de las salvaguardas que aparecen como oportunas para reducir los riesgos sobre el sistema.
• Preparar a la Organización para procesos de evaluación, auditoría, certificación o acreditación.
• Magerit comprende 4 fases.• Conjunto de programas de
seguridad que permiten materializar las decisiones de gestión de riesgos.
OCTAVE
• Identificar recursos importantes• Enfocar las actividades de análisis
de riesgos• Relacionar amenazas y
vulnerabilidades• Evaluar riesgos• Crear una estrategia de
protección• Define el rumbo de la compañía• Acciones a corto plazo• El método octave usa 3 fases
para examinar asuntos tecnológicos y de organización.
• La tecnología se examina únicamente en relación a las prácticas de seguridad.
8
SELECCIÓN DE METODOLOGÍA
9
MAGERIT
10
MAGERIT
11
ESTABLECIMIENTO DE PARAMETROS
12
VALORACIÓN DE ACTIVOS
13
AMENAZAS GLOBALES
14
CONTROLES POR AMENAZAS
15
CONTROLES POR AMENAZAS
16
RESULTADOS PARA LA GERENCIA
17
ANÁLISIS Y GESTIÓN DE RIESGOS PARA EL SERVIDOR RADIUS DEL LABORATORIO DE LA
F.I.S. (ESCUELA POLITÉCNICA NACIONAL - QUITO)
18
SITUACIÓN ACTUAL DEL SERVIDOR
19
ANÁLISIS Y GESTIÓN RIESGOS DEL SERVIDOR RADIUS
20
ANÁLISIS Y GESTIÓN RIESGOS DEL SERVIDOR RADIUS
21
ACTIVOS (PILAR)
22
ACTIVOS (PILAR)
23
AMENAZAS (PILAR)
24
AMENAZAS (PILAR)
25
AMENAZAS (PILAR)
26
ESTIMACIÓN DE ESTADO DE RIESGO
27
SALVAGUARDA
28
ANÁLISIS Y GESTIÓN RIESGOS DEL SERVIDOR RADIUS
29
RETORNO DE INVERSIÓN
30
31
PLAN DE MITIGACIÓN
32
CONCLUSIONES
La forma de conseguir el mayor beneficio en seguridad de la información es contar con una adecuada evaluación de riesgos, que oriente las inversiones, que minimicen el impacto en casos de incidentes
La seguridad de la información no es una responsabilidad únicamente del área de tecnología debe fluir desde la alta gerencia hacia todos los procesos de negocios
Un comité de seguridad de la información compuesto por cada jefe de área genera más compromiso para hacer cumplir las políticas de seguridad de la información
Si la seguridad de la información depende únicamente de IT entonces la probabilidad es del 100% de que no se implemente
33
RECOMENDACIONES
Utilizar la metodología MAGERIT, para instituciones públicas o privadas que contenga activos tangibles o intangibles, complementando el análisis con la herramienta PILAR, que es una herramienta propia automatizada y basada en la metodología, que permite trabajar con un amplio conjunto de activos, amenazas y salvaguardas.
Identificar en que sitios van a residir los activos o datos importantes por su confidencialidad e integridad, por su valor de carácter personal, por su clasificación de seguridad, y por qué lugares van a circular.
Registrar y documentar: los procesos, actividades y tareas del personal que maneja los sistemas informáticos, para poder ser utilizados en un AGR, como también ser una guía para un nuevo personal.
Difundir los Planes de Mitigación de riesgos a las personas encargadas de la administración del área de sistemas, con el fin de que sepan que acciones realizar en caso de presentarse incidentes de seguridad.
34
GRACIAS.